Როგორ უსაფრთხოდ გააზიაროთ დოკუმენტები KYC- სთვის

KYC (Know Your Customer) არის სავალდებულო პროცედურა ლიცენზირებულ კაზინოებში და ფინანსური სერვისებში. მაგრამ დოკუმენტების გადაცემა გაზრდილი რისკის მომენტია: გამოიყენება ფიშინგი, ფაილების ქურდობა ფოსტიდან, „სარკეები“ HTTPS- ის გარეშე და ღრუბლების მეშვეობით შემთხვევითი გაჟონვა. ქვემოთ მოცემულია, თუ როგორ უნდა გაუგზავნოს მოთამაშეს დოკუმენტები მაქსიმალურად უსაფრთხო და რა უნდა გააკეთოს ოპერატორმა თავის მხრივ.

ნაწილი 1. KYC დოკუმენტების უსაფრთხო გადაცემა - ნაბიჯები მოთამაშისთვის

1) შეამოწმეთ არხის ნამდვილობა

გადადით მხოლოდ სანიშნედან ოფიციალურ დომენში https ://( საკეტი შეცდომების გარეშე).

ფაილების გადაცემა ინტეგრირებული KYC პორტალის საშუალებით პირად ანგარიშში ან მობილურ პროგრამაში.

არ გაგზავნოთ დოკუმენტები ჩეთები/მყისიერი მესინჯერები/სოციალური ქსელები და თანამშრომლების პირადი ფოსტა.

თუ მოგთხოვთ ფოსტით გაგზავნას - დაზუსტდით ოფისში. საჭიროების შემთხვევაში გამოიყენეთ დაცული არქივი (იხ. გვ. 6).

2) მოამზადეთ სწორი ფაილები

ფორმატი: ფერადი JPEG/PNG ფოტო ან PDF სკანირებისთვის.

ხარისხი: ფილტრების გარეშე, ყველაფერი იკითხება; არ დაასხით კუთხეები, არ „გააუმჯობესოთ“ ნერვული ქსელები.

რა შეიძლება დაიხუროს:

საბანკო განცხადებაში - დამალეთ ბალანსი/არაკომერციული ოპერაციები, დატოვეთ FIO, მისამართი, თარიღი და დეტალები, რაც ოპერატორმა მოითხოვა;
კომუნალური გადასახადების ანგარიშზე - შეგიძლიათ დამალოთ თანხები.
რა არ შეიძლება დაიხუროს: FIO, დაბადების თარიღი, დოკუმენტის ნომერი, ფოტო, MRZ ზონა და მოქმედების ვადა - თუ ოპერატორი ითხოვს სრულ ასლს. მიჰყევით ოფიციალურ მითითებებს: ზოგჯერ ნებადართულია ნაწილობრივი დამალვა (მაგალითად, ნომრის 8 ნომრიდან 6), ზოგჯერ არა.

3) სელფი/„ liveness “- როგორ გავაკეთოთ სწორად

ფოტო სათვალეების/ქუდის/ფილტრების გარეშე, კარგი განათება.

თუ ისინი ითხოვენ სელფს დოკუმენტით - შეინახეთ მეორე ფურცელი წარწერით: „KYC- სთვის <ბრენდი>, თარიღი“. არ დახუროთ დოკუმენტის მონაცემები, წარწერა - ცალკეულ ქაღალდზე და არა თავად დოკუმენტზე.

4) ამოიღეთ ზედმეტი მეტამონაცემები

ჩამოტვირთვის წინ, ამოიღეთ EXIF (გეოლოკაცია/ტელეფონის მოდელი) ფაილის თვისებებში ან ჩაშენებული რედაქტორის საშუალებით. PDF- სთვის - გამორთეთ „Track changes/Comments“, შეინახეთ როგორც „ბრტყელი“ დოკუმენტი.

5) სახელები და წესრიგი

გასაგებია ფაილების დასახელება: 'ID _ Petrov _ 2025-10-22. jpg`, `UtilityBill_Petrov_2025-09. pdf`.

ნუ განათავსებთ დოკუმენტებს საერთო „შარინგში“ - მხოლოდ მისამართის დატვირთვა KYC პორტალზე.

6) თუ მაინც ფოსტა (გამონაკლისის მსგავსად)

დაწვით v.zip/.7z AES დაშიფვრით, პაროლი გადაეცით სხვა არხს (მაგალითად, ოფისში გაგზავნის საშუალებით).

არ დაწეროთ „პასპორტი/ID“ წერილის თემაში - გამოიყენეთ ნეიტრალური ფორმულირებები.

7) შეამოწმეთ დადასტურება

დატვირთვის შემდეგ დაელოდეთ სტატუსს ოფისში (მიღებული/გადამოწმებისთვის/დამტკიცებულია).

ჩართეთ შეტყობინებები პროფილის შესვლისა და ცვლილებების შესახებ; უცნაური აქტივობით - სასწრაფოდ შეცვალეთ პაროლი და დაბლოკეთ სესიები.

8) ვადები და უფლებები

გაეცანით შენახვის ვადას და კონფიდენციალურობის პოლიტიკის ბმულს.

ლიცენზირებულ სექტორში თქვენ გაქვთ უფლებები GDPR/ანალოგებზე: მონაცემების წვდომა, კორექტირება, დამუშავების შეზღუდვა და ამოღება სავალდებულო ვადის გასვლის შემდეგ.

ნაწილი 2. რა უნდა უზრუნველყოს ოპერატორმა (KYC- ს მიღებასთან და შენახვასთან დაკავშირებით)

ა) დაცული ტექნიკა

სრული HTTPS/TLS 1. 2/1. 3, HSTS, აკრძალვა mixed შინაარსით, მკაცრი CSP; mTLS და დაშიფვრა „CDN- სთვის“.

In-app/KYC პორტალი: დატვირთვა მხოლოდ დენის შემდეგ, ერთჯერადი საიდუმლოებით მოცული ბმულები ვადის გასვლის შემდეგ.

ანტიფიშინგი: DMARC (p = reect), MTA-STS/TLS-RPT, ორმაგი დომენების CT მონიტორინგი.

ბ) მინიმიზაცია და შესაბამისობა

მოითხოვოს მხოლოდ საჭირო (SoF/SoW - ზღურბლზე).

ამონაწერში ზედმეტი ველების შენიღბვის მკაფიო წესები; დასაშვები ფორმატებისა და მაგალითების სია.

C) ფაილების და გასაღებების დაცვა

დაშიფვრა, ქსელების სეგრეგაცია, ყველაზე მცირე შეღავათებით წვდომა.

KMS + HSM გასაღებისთვის, როტაცია და აუდიტი.

ანტივირუსული/ინვესტიციების სინინგი, „ქვიშის ყუთი“ მავნე ფაილებისთვის.

დ) პროცესები და აუდიტი

უცვლელი წვდომის ჟურნალების შენარჩუნება (ვინც უყურებდა/კოპირებას), DLP ალერტები.

შენახვის ოფიციალური ვადები და ავტომატური მოცილება აქტი/ლოგოთი.

საფორტეპიანო ტრენინგი: არ არის „გამონადენი დაბადების დღეს“, მხოლოდ რეგლამენტის შესაბამისად.

არხი DSAR (Data Subject Access Request) და SLA მომხმარებლის პასუხებზე.

E) UX და გამჭვირვალობა

დატვირთვის ეტაპობრივი ოსტატი მაგალითებით „რა დავხუროთ/რა დავტოვოთ“.

განაცხადის აშკარა სტატუსი, ETA და დაკარგული დოკუმენტების სია.

გვერდი „მონაცემთა უსაფრთხოება“: მიზნები, უფლებების ბაზა, ვადები, DPO კონტაქტები.

ხშირი შეცდომები და როგორ მოვერიდოთ მათ

შეცდომა	რა არის საშიში	როგორ არის სწორი
Telegram/ფოსტაზე მენეჯერის გაგზავნა	კონტროლის დაკარგვა, საფოსტო ყუთებიდან გაჟონვა	მხოლოდ KYC პორტალი; ფოსტა - დაშიფრული არქივი უკიდურეს შემთხვევაში
დატვირთვა „სარკეში“ HTTPS- ის გარეშე	MITM, ანგარიშისა და დოკუმენტების ქურდობა	ყოველთვის შეამოწმეთ https ://და ასო-ასო დომენი
ხელუხლებელი „გაუმჯობესება“	უარი თქვა „რედაქტირების ეჭვის“ გამო	ფილტრების გარეშე; შუქი/სიმკვეთრე - დაახლოებით, მაგრამ არ შეცვალოთ შინაარსი
დახურეთ კრიტიკული ველები ID- ზე	ხელახალი შემოწმება, გადახდის შეფერხება	დაიცავით ინსტრუქციები: შეგიძლიათ დახუროთ მხოლოდ ის, რაც ნებადართულია
გეომეტრიული ფაილები/EXIF	დამატებითი პერსონალური მონაცემები	ჩამოტვირთვის წინ ამოიღეთ EXIF
საზოგადოებრივი ბმული ღრუბელზე	უცხო ადამიანების წვდომა, ინდექსაცია	მხოლოდ პირადი ბმულები ექსპორტი ან პირდაპირი დატვირთვა პორტალზე

მოთამაშის ჩეკის სია (დაბეჭდვა)

საიტზე მივდივარ https ://სანიშნედან; დომენი „შემცვლელი“ გარეშე.
ჩამოტვირთეთ მხოლოდ KYC პორტალზე (არა ჩეთ-ფოსტით).
მოამზადა წაკითხული ფაილები ფილტრების გარეშე; EXIF ამოღებულია.
გამონადენებზე დამატებით ნიღბავს ინსტრუქციის მიხედვით.
სელფი/სია წარწერით „KYC- სთვის <ბრენდი>, თარიღი“ (საჭიროების შემთხვევაში).
მიიღო სტატუსი ოფისში; ჩართულია შეტყობინებები შეყვანის/ცვლილების შესახებ.
ვიცი, სად უნდა ნახოთ შენახვის დრო და როგორ უნდა მიმართოთ ვადის გასვლის მოთხოვნას.

ჩეკის სია ოპერატორისთვის

HTTPS/TLS 1. 2/1. 3, HSTS, CSP; დაშიფვრა „CDN- სთვის“, mTLS შიდა API- სთვის.
KYC პორტალი secure-links- ით და გაწმენდით, „ფოსტით მიღების გარეშე“.
შემცირების პოლიტიკა: მკაფიოდ, რას ვითხოვთ და როგორ გავაკეთოთ ზედმეტი შენიღბვა.
დაშიფვრა; KMS + HSM; როლებზე წვდომა; წვდომის ლოგოები და DLP.
ჩაშენებული ანტივირუსი/ქვიშის ყუთი, EXIF/მეტამონაცემების სკანირება.
Retention და მანქანის მოცილება; DSAR არხი; sapport ტრენინგი.
ანტიფიშინგი: DMARC (p = reect), CT მონიტორინგი, გაფრთხილებები ოფისში.

მინი FAQ

შესაძლებელია დოკუმენტის ნაწილის დალუქვა?

მხოლოდ იმ შემთხვევაში, თუ ეს აშკარად ნებადართულია ინსტრუქციით. წინააღმდეგ შემთხვევაში - მიაწოდეთ სრული ასლი.

რატომ არ უნდა მიიღოთ ელექტრონული ფოსტის საშუალებით?

ფოსტა ხშირად ხდება გაჟონვის წყარო. სასურველია ჩაშენებული KYC პორტალი; ფოსტა - მხოლოდ დაშიფრული არქივითა და პაროლით სხვა არხზე.

საჭიროა ფაილების წაშლა გადამოწმების შემდეგ?

მოთამაშე - დიახ, ადგილობრივად. ოპერატორი ინახავს კანონით/ლიცენზიით შეთანხმებულ ვადებში.

რატომ ამოიღეთ EXIF?

EXIF შეიცავს მოწყობილობის გეომეტრიებსა და დეტალებს - ეს არის დამატებითი პერსონალური მონაცემები, ისინი არ არის საჭირო გადამოწმებისთვის.

KYC დოკუმენტების უსაფრთხო გადაცემა ორი მოქმედებაა: (1) გამოიყენეთ სწორი არხი (ოფიციალური KYC პორტალი HTTPS- ისთვის) და (2) მინიმუმამდე დაიყვანეთ ზედმეტი მონაცემები (ამოიღეთ მეტამონაცემები, შეაჩერეთ მხოლოდ ნებადართული). ოპერატორის მხრიდან კრიტიკულია დაცული ინფრასტრუქტურა, მინიმიზაცია, დაშვების მკაცრი პროცესები და გასაგები კომუნიკაცია. ეს მიდგომა ერთდროულად აჩქარებს გადამოწმებას, იცავს კონფიდენციალურობას და ამცირებს რისკებს ყველასთვის.